CVE-2026-64269

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: RDMA/rtrs-srv: rdma_write_sg fonksiyonunda RDMA-Write uzunluğu chunk boyutu ile sınırlandırıldı Sunucu bir RTRS READ isteğine yanıt verdiğinde, rdma_write_sg() fonksiyonu veriyi karşı tarafa döndüren IB_WR_RDMA_WRITE için kaynak scatter/gather girişini oluşturur. Bu işlemin uzunluğu doğrudan hat tanımlayıcısından (wire descriptor) alınır: plist->length = le32_to_cpu(id->rd_msg->desc[0].len); rd_msg, uzak istemcinin RDMA-WRITE-WITH-IMM aracılığıyla doldurduğu chunk tamponuna işaret eder (rtrs_srv_rdma_done() -> process_io_req() -> process_read()), dolayısıyla desc[0].len saldırgan tarafından kontrol edilebilir ve bu değişiklikten önce yalnızca sıfır olduğunda reddedilmekteydi. Kaynak adres sabit chunk başlangıcıdır (dma_addr[msg_id]) ve kaynak lkey, chunk'ın MR eşlemesine bağlı olmayan PD genelindeki local_dma_lkey'dir; bu nedenle verbs katmanı aktarım uzunluğunu max_chunk_size ile kısıtlamaz. msg_id ve off değerleri rtrs_srv_rdma_done() içerisinde queue_depth ve max_chunk_size değerlerine göre sınırlandırılmıştır ancak desc[0].len, chunk boyutuna göre kontrol edilmeyen ayrı bir alandır. desc[0].len değerini max_chunk_size'dan daha büyük olarak bildiren bir istemci, gönderilen RDMA yazma işleminin chunk'ın eşlenen bölgesinin ötesini okumasını sağlayabilir. Ortaya çıkan davranış IOMMU yapılandırmasına bağlıdır: IOMMU olmadığında veya passthrough modunda, okuma işlemi chunk'a komşu belleğe kadar uzanabilir ve istemciye döndürülebilir, bu da ana bilgisayar belleğinin ifşa olmasına yol açabilir; çeviri yapan bir IOMMU ile kapsam dışı erişimin hata vermesi ve bağlantıyı sonlandırması beklenir. Her iki durumda da aktarım, protokolün izin verdiğinden fazladır ve uzak bir istemci tarafından yönlendirilir. rtrs_srv_rdma_done() içerisindeki mevcut off >= max_chunk_size sınırı ile paralel olarak, max_chunk_size üzerindeki tanımlayıcı uzunlukları reddedilir. Meşru istemciler bu sınırı aşmaz: istemci, desc[0].len değerini müzakere edilen max_io_size (max_chunk_size - MAX_HDR_SIZE) ile sınırlandırılmış olan kendi MR uzunluğuna ayarlar.